Solución del CTF Fetch the Flag 2023 de Snyk: Audiopolis
30 de noviembre de 2023
0 minutos de lectura¡Gracias por jugar Fetch con nosotros! Felicitaciones a los miles de jugadores que participaron en Fetch the Flag CTF. Si participaste en Fetch the Flag 2023 de Snyk y buscas la respuesta al desafío Audiopolis, llegaste al lugar indicado. ¡Veamos la solución juntos!
Audiopolis presenta al jugador una interesante aplicación web que promete convertir voz en texto. Dale un archivo .wav y te dará la transcripción de ese archivo.
El jugador no lo sabe de inmediato, pero la transcripción se imprime en la página mediante el eco del texto generado a partir del archivo .wav. Por eso, esta aplicación web es vulnerable a la inyección de comandos si descubrimos cómo darle un carácter especial como entrada.
El programa text2wave es una buena forma de generar cargas útiles para este desafío. Podemos experimentar para encontrar una inyección de comandos usando la prueba de sleep:
Esto hará que la página se demore 10 segundos, lo que demuestra que se pueden ejecutar comandos.
A partir de aquí, solo hay que encontrar qué decir para localizar e imprimir la bandera:
¡Gracias por hacer posible Fetch!
¡Muchísimas gracias a todos los equipos de Fetch the Flag 2023! Fue genial verlos a todos allí y siempre pueden encontrarme en YouTube.
Aquí están las soluciones de los demás desafíos de 2023. ¡A explorar!